DSGVO im ERP: Kundendaten, AVV & Löschkonzept

Kurz vorweg: Ein ERP-System ist datenschutzrechtlich einer der heikelsten Orte in deinem Unternehmen – hier laufen Kundenstammdaten, Bestellhistorien, Zahlungsinformationen und teils Personaldaten zusammen. Die DSGVO verlangt für all das eine Rechtsgrundlage, technische und organisatorische Schutzmaßnahmen, einen klaren Umgang mit Betroffenenrechten und ein Löschkonzept, das mit den steuerlichen Aufbewahrungspflichten zusammenpasst. Nutzt du ein Cloud-ERP, kommt ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter hinzu. Dieser Artikel zeigt dir neutral und praxisnah, worauf es bei „DSGVO im ERP" ankommt – ohne Rechtsberatung zu ersetzen.

Welche Rechtsgrundlage brauchst du für Kundendaten im ERP?

Jede Verarbeitung personenbezogener Daten braucht nach Art. 6 DSGVO eine Rechtsgrundlage. Im ERP-Alltag sind vor allem drei relevant:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Name, Lieferadresse und Bestelldaten eines Kunden verarbeitest du, um seinen Auftrag abzuwickeln – dafür brauchst du keine gesonderte Einwilligung.
• Rechtliche Verpflichtung (lit. c): Rechnungsdaten musst du aus steuer- und handelsrechtlichen Gründen aufbewahren. Das ist gleichzeitig deine Rechtsgrundlage für die weitere Speicherung nach Vertragsende.
• Berechtigtes Interesse (lit. f): Etwa für Bonitätsprüfungen oder maßvolle Bestandskundenwerbung – hier ist eine Interessenabwägung nötig und die Betroffenen können widersprechen.

Wichtig ist der Grundsatz der Zweckbindung: Daten, die du für die Auftragsabwicklung erhoben hast, darfst du nicht ohne Weiteres für andere Zwecke nutzen. Ein sauber gepflegter Kundenstamm mit dokumentiertem Erhebungszweck ist deshalb kein Selbstzweck, sondern Datenschutz in der Praxis.

Datenminimierung als Systemanforderung

Die DSGVO fordert, nur so viele Daten zu erheben, wie du wirklich brauchst. Ein gutes ERP unterstützt das durch konfigurierbare Pflichtfelder und die Möglichkeit, sensible Felder gar nicht erst anzulegen. Prüfe kritisch, welche Datenfelder in Formularen und Importen wirklich nötig sind – jedes überflüssige Feld ist später ein Risiko.

Auftragsverarbeitung: Der AVV mit deinem ERP-Anbieter

Sobald ein externer Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Bei einem Cloud-ERP betreibt der Anbieter die Server und hat theoretisch Zugriff auf deine Daten – deshalb brauchst du zwingend einen Auftragsverarbeitungsvertrag (AVV). Ohne diesen Vertrag ist der Betrieb rechtswidrig, unabhängig davon, wie gut die Software ist.

Verantwortlich für die Daten bleibst du als Unternehmen, nicht der Anbieter. Der AVV regelt, was der Auftragsverarbeiter darf und muss. Achte auf diese Pflichtbestandteile:

Frag den Anbieter aktiv nach dem AVV-Muster und der Liste der Sub-Auftragsverarbeiter. Beides sollte transparent verfügbar sein – auch bei On-Premise-Betrieb, sobald der Anbieter Fernwartung oder Support mit Datenzugriff leistet. Details zu Anbietern und ihren Betriebsmodellen findest du im ERP-Verzeichnis.

Betroffenenrechte unter der DSGVO: Was dein ERP können muss

Die DSGVO gibt jeder Person Rechte an ihren Daten, und du musst sie innerhalb eines Monats erfüllen. Dein ERP entscheidet mit darüber, ob das eine Fleißaufgabe oder ein Fingerschnippen ist:

• Auskunft (Art. 15): Welche Daten hast du zu einer Person gespeichert? Eine gute Suchfunktion über Matchcode und ein vollständiger Export sind hier Gold wert.
• Berichtigung (Art. 16): Falsche Daten müssen korrigierbar sein – idealerweise mit Änderungshistorie.
• Löschung (Art. 17): Das „Recht auf Vergessenwerden" – kollidiert oft mit Aufbewahrungspflichten (dazu gleich mehr).
• Datenübertragbarkeit (Art. 20): Herausgabe in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21): Etwa gegen Werbung – muss im System als Sperrvermerk abbildbar sein.

Auskunft und Export in der Praxis

Kommt eine Auskunftsanfrage, musst du alle Daten zu einer Person zusammentragen – auch aus verknüpften Modulen wie Belegen, Kommunikation und Tickets. Systeme mit sauberem Datenmodell und einem Golden Record pro Kunde erleichtern das enorm. Wo Daten in Schnittstellen und Drittsystemen verstreut liegen, wird die Auskunft schnell lückenhaft – ein Argument, das du bei jeder Systemintegration mitdenken solltest.

Löschkonzept vs. steuerliche Aufbewahrung

Der häufigste Denkfehler: „DSGVO heißt löschen." Tatsächlich stehen sich zwei Pflichten gegenüber. Die DSGVO verlangt Löschung, sobald der Zweck entfällt – das Steuer- und Handelsrecht verlangt Aufbewahrung. Ein tragfähiges Löschkonzept löst diesen Konflikt, indem es beides sauber trennt.

Die Aufbewahrungspflicht nach GoBD, HGB und AO überlagert das Löschrecht: Buchungsrelevante Daten dürfen und müssen bleiben, auch wenn der Kunde die Löschung verlangt. Die richtige Antwort ist dann nicht Löschung, sondern Einschränkung der Verarbeitung (Sperren): Die Daten werden nur noch für den gesetzlichen Aufbewahrungszweck vorgehalten, aber nicht mehr aktiv genutzt.

Ein praktikables Löschkonzept definiert pro Datenart eine Löschregel (Frist, Auslöser, Verantwortlicher) und automatisiert die Umsetzung so weit wie möglich. Achte darauf, dass dein System selektiv löschen kann – nicht nur ganze Datensätze, sondern einzelne Felder, während die buchhalterischen Pflichtdaten erhalten bleiben. Genau hier trennt sich Praxistauglichkeit von Theorie.

Fristen konkret einplanen

Lege die Fristen im System hinterlegt fest, statt sie manuell zu tracken. Ein Beispiel: Löscht du erst am Fristende, brauchst du einen automatisierten Prüflauf, der abgelaufene Datensätze meldet. Fehlt diese Funktion, sammeln sich Alt-Daten unbemerkt an – ein DSGVO-Verstoß, der bei einer Prüfung teuer werden kann.

Rollen- und Rechtekonzept: Zugriff begrenzen

Nicht jeder Mitarbeiter darf alle Kundendaten sehen. Die DSGVO fordert unter dem Stichwort „Vertraulichkeit" (Art. 32), dass nur befugte Personen Zugriff erhalten. Umgesetzt wird das über ein Rollen- und Rechtekonzept: Jede Berechtigung wird an eine Rolle geknüpft, nicht an einzelne Personen, nach dem Prinzip der minimalen Rechtevergabe.

Konkret solltest du auf diese Funktionen achten:

• Feingranulare Rechte bis auf Modul-, Feld- oder Datensatzebene (z. B. Vertrieb sieht keine Bankdaten).
• Mandantentrennung, falls du mehrere Unternehmen oder Marken betreibst.
• Lückenloser Audit-Trail, der protokolliert, wer wann welche personenbezogenen Daten eingesehen oder geändert hat – die Basis, um Zugriffe im Ernstfall nachzuweisen.
• Sichere Authentifizierung über SSO oder Mehr-Faktor-Verfahren, damit Zugänge nicht über schwache Passwörter kompromittiert werden.

Das Rechtekonzept ist gleichzeitig deine wichtigste organisatorische Maßnahme (TOM) und ein Prüfpunkt in jeder Datenschutz-Dokumentation.

Datenresidenz und internationale Übermittlung

Wo deine Daten physisch liegen, ist datenschutzrechtlich entscheidend. Datenresidenz beschreibt den Speicherort – und innerhalb der EU/des EWR ist die Verarbeitung unkompliziert, weil überall dieselben DSGVO-Regeln gelten. Sobald Daten in ein Drittland (etwa die USA) fließen, brauchst du eine zusätzliche Grundlage nach Kapitel V DSGVO.

Für die USA existiert seit 2023 das EU-US Data Privacy Framework: Datenübermittlungen an zertifizierte US-Unternehmen sind auf dieser Basis zulässig. Ist ein Anbieter nicht zertifiziert, greifen in der Regel die Standardvertragsklauseln (SCC) ergänzt um ein Transfer Impact Assessment. Praktische Konsequenzen für die ERP-Auswahl:

• Kläre, in welchem Rechenzentrum und Land deine Produktivdaten liegen – und wo Backups gespeichert werden.
• Prüfe auch die Sub-Auftragsverarbeiter (Support, Monitoring, KI-Funktionen) auf ihren Standort.
• Wünschst du reine EU-Datenhaltung, lass dir das vertraglich zusichern; viele Anbieter bieten dedizierte EU-Regionen an.

Bei einer geplanten Migration oder Neueinführung gehört die Frage der Datenresidenz früh auf die Anforderungsliste – ein späterer Umzug der Datenhaltung ist aufwendig. Welche Systeme welche Betriebs- und Hosting-Modelle bieten, kannst du im Vergleich gegenüberstellen.

Fazit

„DSGVO ERP" ist kein Häkchen, das du einmal setzt, sondern das Zusammenspiel aus Rechtsgrundlage, AVV mit dem Anbieter, erfüllbaren Betroffenenrechten, einem Löschkonzept im Einklang mit den Aufbewahrungsfristen, einem gelebten Rollen- und Rechtekonzept und geklärter Datenresidenz. Achte bei der Systemauswahl konkret auf selektive Löschfunktionen, feingranulare Berechtigungen, einen vollständigen Audit-Trail und transparente Hosting-Standorte. Bei der Umsetzung im Projekt hilft eine strukturierte ERP-Beratung, die Datenschutz von Anfang an mitdenkt. Und bei allen rechtlichen Detailfragen gilt: im Zweifel mit Datenschutzbeauftragtem oder Anwalt abstimmen, bevor es zur Beschwerde kommt.